+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Нужно разрешить http порты и другие известные порты.

Нужно разрешить http порты и другие известные порты., RouterOS

henry_ajere

Guest

01.02.2006 15:39:00

Привет, не являюсь гуру в маршрутизации. Нужно разрешить доступ только по http (80) и еще трем известным портам (5050, 25 и 100) в моей сети. Я что-то вроде этого сделал в цепочке пересылки:

ip firewall rule forward add dst-port=5050 action=jump jump-target=output
ip firewall rule forward add dst-port=25 action=jump jump-target=output
ip firewall rule forward add dst-port=110 action=jump jump-target=output
ip firewall rule forward add dst-port=!80 action=drop

Правило работало только когда я отключал первые три правила (т.е. 5050, 25 и 110). Мне нужны эти порты, а все остальные нужно блокировать. Пожалуйста, помогите.

djape Guest	#2 0 01.02.2006 15:59:00 Ты хочешь запретить доступ к этим портам извне на своей сети?

henry_ajere Guest	#3 0 01.02.2006 17:06:00 Мне нужен доступ к этим портам (80, 5050, 25 и 110) в моей сети — как входящий, так и исходящий. Все остальные переадресованные порты (кроме 80, 5050, 25 и 110) следует закрывать.

meister

Guest

01.02.2006 19:57:00

Пожалуйста, объясни свою сеть. NAT, маршрутизация и т.д., если используешь приватный IP-адрес. И простым языком, что ты хочешь добиться. Например, запретить людям в твоей сети использовать что-то кроме http, sip и почты, или предоставить сети доступ в интернет, но защититься от хакеров.

henry_ajere

Guest

02.02.2006 08:23:00

Спасибо, сказал Meiser: Объясни свою сеть. NAT, маршрутизация и т.д., если используешь приватный IP-адрес.

У меня NAT-сеть, публичный IP от провайдера: 66.179.254.120/27. Я поставил MT между спутниковым шлюзом (66.179.120.121) и моей LAN.

Meiser сказал: И простыми словами, чего ты пытаешься добиться? Я не хочу, чтобы ПК в моей LAN перенаправляли трафик через какие-либо другие порты, кроме портов 80 (http), 5050, 25 и 110. Другими словами, ПК в моей LAN должны просто просматривать сайты, получать POP-почту и использовать Yahoo chat, этого достаточно!

Проблема на моей LAN в том, что я оставил все порты открытыми, а черви и многие другие вредоносные программы воспользовались открытыми портами для атак, в результате чего потребляется мой трафик.

cibernet

Guest

02.02.2006 09:55:00

У меня настроена NAT-сеть, публичный IP от провайдера: 66.179.254.120/27. Я поставил MT между спутниковым шлюзом (66.179.120.121) и моей локальной сетью. Meiser сказал: "И если говорить на человеческом языке, что ты пытаешься сделать?" Я хочу, чтобы компьютеры в моей локальной сети отправляли трафик только через определенные порты: 80 (http), 5050, 25 и 110. Другими словами, компьютеры в моей локальной сети должны просто просматривать сайты, получать POP-почту и общаться в Yahoo Chat, и этого достаточно!. Проблема в том, что я оставил все порты открытыми, и черви и многие другие вредоносные программы воспользовались открытыми портами для атак, что приводит к расходу моего трафика.

Тогда тебе нужно разрешить только эти порты в цепочке перенаправления, например: добавь chain=forward src-address=(твоя локальная сеть) protocol=tcp dst-port=80 action=accept

добавь chain=forward src-address=(твоя локальная сеть) protocol=tcp dst-port=5050 action=accept

добавь chain=forward src-address=(твоя локальная сеть) protocol=tcp dst-port=110 action=accept И добавь правило, чтобы отбрасывать весь остальной трафик: add chain=forward src-address=(твоя локальная сеть) action=drop

С уважением

henry_ajere

Guest

02.02.2006 11:10:00

Спасибо, Cibernet. Тогда нужно разрешать только эти порты в цепочке перенаправления, например: у меня уже есть следующие, добавленные автоматически точкой доступа:

3 in-interface=WIRELESS action=jump jump-target=hotspot-temp
4 ;;; account traffic for authorized hotspot clients action=jump jump-target=hotspot
5 ;;; limit access for unauthorized hotspot clients in-interface=WIRELESS action=jump jump-target=hotspot-temp
6 ;;; account traffic for authorized hotspot clients action=jump jump-target=hotspot
7 ;;; limit access for unauthorized hotspot clients in-interface=WIRELESS action=jump jump-target=hotspot-temp
8 ;;; account traffic for authorized hotspot clients action=jump jump-target=hotspot
9 ;;; limit access for unauthorized hotspot clients in-interface=WIRELESS action=jump jump-target=hotspot-temp
10 ;;; account traffic for authorized hotspot clients action=jump jump-target=hotspot

djape Guest	#8 0 02.02.2006 14:18:00 Ты должен разрешить udp 53, иначе как твои пользователи будут разрешать доменные имена?!

andrewluck Guest	#9 0 02.02.2006 16:07:00 Лучше добавить UDP 53 во входную цепочку маршрутизатора и заставить клиентов использовать DNS-сервер на MT. С уважением, Andrew.

henry_ajere

Guest

#10

02.02.2006 18:21:00

Огромное спасибо! Добавь chain=forward src-address=(твоя локальная сеть) protocol=tcp dst-port=80 action=accept

Добавь chain=forward src-address=(твоя локальная сеть) protocol=tcp dst-port=5050 action=accept

Добавь chain=forward src-address=(твоя локальная сеть) protocol=tcp dst-port=110 action=accept[code]

И добавь chain=forward src-address=(твоя локальная сеть) action=drop. Получилось!!

С наилучшими пожеланиями

hmekolli Guest	#11 0 02.02.2006 19:36:00 Лучше всего добавить UDP 53 во входящую цепочку на роутере и заставить клиентов использовать DNS-сервер на MT Plase, это мой код, потому что мне это нужно, но не получилось. Спасибо.

cibernet Guest	#12 0 02.02.2006 20:07:00 Тебе нужно прочитать инструкцию… добавь chain=forward src-address=(твоя локальная сеть) protocol=udp dst-port=53 action=accept С уважением.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры